Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

33.5. 動的 DNS 更新の管理

33.5.1. ダイナミック DNS 更新の有効化
リンクのコピー

動的 DNS 更新は、IdM の新規 DNS ゾーンに対してデフォルトでは無効となっています。動的更新を無効にすると、ipa-client-install スクリプトでは、新規クライアントを指定する DNS レコードを追加できません。
注記
動的更新を有効にすると、セキュリティーリスクが発生する可能性があります。ただし、使用環境で動的更新が可能である場合には、この更新方法を使用すると、クライアントのインストールが簡素化されます。
動的更新を有効にするには、以下が必要です。
  • 動的更新を許可するように DNS ゾーンを設定する必要があります。
  • ローカルクライアントは、動的更新を送信するように設定する必要があります。

33.5.1.1. 動的更新を許可するための DNS ゾーンの設定
リンクのコピー

Web UI での動的 DNS 更新の有効化

  1. Network Services タブを開き、DNS サブタブを選択し、その後に DNS Zones セクションを選択します。

    図33.16 DNS ゾーンの管理

    DNS ゾーンの管理
    View larger image
    DNS ゾーンの管理
  2. ゾーンの全リストからゾーン名をクリックして DNS ゾーンページを開きます。

    図33.17 マスターゾーンの編集

    マスターゾーンの編集
    View larger image
    マスターゾーンの編集
  3. Settings をクリックして DNS ゾーン設定タブに切り替えます。

    図33.18 マスターゾーン編集ページの Settings タブ

    マスターゾーン編集ページの Settings タブ
    View larger image
    マスターゾーン編集ページの Settings タブ
  4. Dynamic update フィールドまでスクロールして、値を True に設定します。

    図33.19 ダイナミック DNS 更新の有効化

    ダイナミック DNS 更新の有効化
    View larger image
    ダイナミック DNS 更新の有効化
  5. ページ上部の Save をクリックして、新しい設定を確認します。

コマンドラインでの動的 DNS 更新の有効化

コマンドラインから DNS ゾーンへの動的な更新を可能にするには、--dynamic-update=TRUE オプションを指定して ipa dnszone-mod コマンドを使用します。以下に例を示します。 
[user@server ~]$ ipa dnszone-mod server.example.com --dynamic-update=TRUE
Copy to Clipboard Toggle word wrap

33.5.1.2. 動的更新を送信するためのクライアントの設定
リンクのコピー

クライアントは、ipa-client-install スクリプトで --enable-dns-updates を使用して、ドメインに登録すると DNS 更新を送信するように自動的に設定されます。 
[root@client ~]# ipa-client-install --enable-dns-updates
Copy to Clipboard Toggle word wrap
DNS ゾーンの SOA 設定には、レコードに設定された TTL (Time to Live) 値があります。ただし、動的更新の TTL は、System Security Service Daemon (SSSD) によりローカルシステムで管理されます。動的更新の TTL 値を変更するには、SSSD ファイルを編集して値を設定します。デフォルトは 1200 秒です。
  1. SSSD 設定ファイルを開きます。 
    [root@server ~]# vim /etc/sssd/sssd.conf
    Copy to Clipboard Toggle word wrap
  2. IdM ドメインのドメインセクションを検索します。 
    [domain/ipa.example.com]
    Copy to Clipboard Toggle word wrap
  3. 動的更新がクライアントで有効になっていない場合は、dyndns_update を true に設定します。 
    dyndns_update = true
    Copy to Clipboard Toggle word wrap
  4. dyndns_ttl パラメーターを追加または変更して、値を秒単位で設定します。 
    dyndns_ttl = 2400
    Copy to Clipboard Toggle word wrap

33.5.2. A/AAAA レコードと PTR レコードの同期
リンクのコピー

AAA レコードと AAA レコードは、逆引きゾーンで PTR レコードとは別に設定されます。これらのレコードは個別に設定されるため、対応する PTR レコードがない場合は A/AAAA レコードが存在し、その逆も可能です。
PTR 同期が機能するには、以下の DNS 設定が必要になります。
  • 正引きおよび逆引きゾーンの両方が IdM サーバーで管理されていること。
  • 両方のゾーンで動的更新が有効になっていること。
    動的更新の有効化については、「ダイナミック DNS 更新の有効化」で説明されています。
  • マスターの正引きゾーンおよび逆引きゾーンでは、PTR 同期を有効にする必要があります。
  • PTR レコードは、要求しているクライアント名が PTR レコード内の名前と一致する場合にのみ、更新されます。
重要
IdM の Web UI やコマンドラインツールによる変更、または LDAP エントリーを直接編集して変更した場合、PTR レコードは更新されません。DNS サービス自体による変更の場合にのみ、PTR レコードは同期されます。
警告
クライアントシステムは、自身の IP アドレスを更新できます。つまり、危険にさらされたクライアントを使用して IP アドレスを変更すると、PTR レコードの上書きが可能になります。

33.5.2.1. Web UI での PTR レコードの同期設定
リンクのコピー

PTR レコードの同期は、PTR レコードが存在する逆引き DNS ゾーンではなく、A レコードまたは AAAA レコードが保存されているゾーンで設定する必要があります。
  1. Network Services タブを開き、DNS サブタブを選択し、その後に DNS Zones セクションを選択します。

    図33.20 DNS ゾーンの管理

    DNS ゾーンの管理
    View larger image
    DNS ゾーンの管理
  2. ゾーンの全リストからゾーン名をクリックして DNS ゾーンページを開きます。

    図33.21 DNS ゾーンの編集

    DNS ゾーンの編集
    View larger image
    DNS ゾーンの編集
  3. Settings をクリックして DNS ゾーン設定タブに切り替えます。

    図33.22 マスターゾーン編集ページの Settings タブ

    マスターゾーン編集ページの Settings タブ
    View larger image
    マスターゾーン編集ページの Settings タブ
  4. Allow PTR sync チェックボックスを選択します。

    図33.23 PTR 同期の有効化

    PTR 同期の有効化
    View larger image
    PTR 同期の有効化
  5. ページ上部の Save をクリックして、新しい設定を確認します。

33.5.2.2. コマンドラインを使用した PTR レコードの同期設定
リンクのコピー

コマンドラインを使用して、特定のゾーン、またはすべてのゾーンに対してグローバルに PTR レコードの同期を設定できます。
33.5.2.2.1. 特定のゾーンでの PTR レコードの同期設定
リンクのコピー
たとえば、idm.example.com 正引きゾーンに PTR レコード同期を設定するには、次のコマンドを実行します。
  1. 正引きゾーンの動的更新を有効にします。 
    # ipa dnszone-mod idm.example.com. --dynamic-update=TRUE
    Copy to Clipboard Toggle word wrap
  2. 正引きゾーンの更新ポリシーを設定します。 
    # ipa dnszone-mod idm.example.com. --update-policy='grant IDM.EXAMPLE.COM krb5-self * A; grant IDM.EXAMPLE.COM krb5-self * AAAA; grant IDM.EXAMPLE.COM krb5-self * SSHFP;'
    Copy to Clipboard Toggle word wrap
  3. 正引きゾーンの PTR レコード同期を有効にします。 
    # ipa dnszone-mod idm.example.com. --allow-sync-ptr=True
    Copy to Clipboard Toggle word wrap
  4. 逆引きゾーンの動的更新を有効にします。 
    # ipa dnszone-mod 2.0.192.in-addr.arpa. --dynamic-update=TRUE
    Copy to Clipboard Toggle word wrap
33.5.2.2.2. すべてのゾーンでの PTR レコードの同期のグローバル設定
リンクのコピー
以下の手順のいずれかを使用して、IdM が管理するすべてのゾーンで PTR 同期を有効にできます。
  • すべてのサーバーのゾーンで PTR 同期を同時に有効にするには、次のコマンドを実行します。 
    # ipa dnsconfig-mod --allow-sync-ptr=true
    Copy to Clipboard Toggle word wrap
  • サーバーごとの同期を有効にするには、次のコマンドを実行します。
    1. /etc/named.conf 内の dyndb "ipa" "/usr/lib64/bind/ldap.so" に、sync_ptr yes; 設定を追加します。 
      dyndb "ipa" "/usr/lib64/bind/ldap.so" {
   ...
   sync_ptr yes;
};
      Copy to Clipboard Toggle word wrap
    2. IdM を再起動します。 
      # ipactl restart
      Copy to Clipboard Toggle word wrap
    3. DNS サービスがインストールされている各 IdM サーバーでこの手順を繰り返します。

33.5.3. DNS 動的更新ポリシーの更新
リンクのコピー

IdM サーバーが管理する DNS ドメインは、RFC 3007 に従って DNS 動的更新を受け入れることができます。[4].
特定のクライアントが修正可能なレコードを判断するルールは、/etc/named.conf ファイルの 更新ポリシー 文と同じ構文に従います。動的更新ポリシーの詳細は、BIND 9 のドキュメント を参照してください。
DNS ゾーンで動的 DNS 更新が無効になっていると、動的更新ポリシーステートメントを反映せずに、すべての DNS 更新が拒否されることに注意してください。動的 DNS 更新を有効にする方法は、「ダイナミック DNS 更新の有効化」 を参照してください。

Web UI での DNS 更新ポリシーの更新

  1. Network Services タブを開き、DNS サブタブを選択し、その後に DNS Zones セクションを選択します。

    図33.24 DNS ゾーンの管理

    DNS ゾーンの管理
    View larger image
    DNS ゾーンの管理
  2. ゾーンの全リストからゾーン名をクリックして DNS ゾーンページを開きます。

    図33.25 DNS ゾーンの編集

    DNS ゾーンの編集
    View larger image
    DNS ゾーンの編集
  3. Settings をクリックして DNS ゾーン設定タブに切り替えます。

    図33.26 マスターゾーン編集ページの Settings タブ

    マスターゾーン編集ページの Settings タブ
    View larger image
    マスターゾーン編集ページの Settings タブ
  4. BIND 更新ポリシー テキストボックスに、セミコロンで区切ったリストで必要な更新ポリシーを設定します。

    図33.27 DNS 更新ポリシーの設定

    DNS 更新ポリシーの設定
    View larger image
    DNS 更新ポリシーの設定
  5. DNS ゾーンページの上部にある Save をクリックして、新しい設定を確定します。

コマンドラインでの DNS 更新ポリシーの更新

コマンドラインから DNS 更新ポリシーを設定するには、--update-policy オプションを使用して、そのオプションの後にくる文でアクセス制御ルールを追加します。以下に例を示します。 
$ ipa dnszone-mod zone.example.com --update-policy "grant EXAMPLE.COM  krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM  krb5-self * SSHFP;"
Copy to Clipboard Toggle word wrap

[4] RFC 3007 の完全なテキストは、http://tools.ietf.org/html/rfc3007を参照してください。
トップに戻る
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

Theme

© 2025 Red Hat